摘要
《數字運營韌性規例》的要求、其涉及的對象，以及ICT第三方服務提供商合約登記冊所載的內容。數字運營韌性規例——規例(EU) 2022/2554，即DORA——自2025年一月17日起，適用於歐盟幾乎所有受監管的金融企業：信貸機構、支付機構及電子貨幣機構、加密資產服務提供商、投資公司、基金管理人、多種制度下的放款人及其他機構。它訂立了ICT風險管理的標準，以及與ICT第三方服務提供商訂立的合約安排的登記冊。
數字運營韌性規例——規例(EU) 2022/2554，即DORA——自2025年一月17日起，適用於歐盟幾乎所有受監管的金融企業：信貸機構、支付機構及電子貨幣機構、加密資產服務提供商、投資公司、基金管理人、多種制度下的放款人及其他機構。它訂立了ICT風險管理的標準，以及與ICT第三方服務提供商訂立的合約安排的登記冊。本指南說明DORA的要求、誰須遵守、比例原則對較小型公司有何作用、資訊登記冊包含什麼內容，以及我方的DORA服務可提供什麼。
本指南僅為一般資訊，並非法律意見。
DORA的五大支柱
- ICT風險管理框架（第5至16條）——由管理機構督導、一套備存文件的框架、識別及保護ICT資產、偵測、應對及復原、備份政策、學習與溝通。對若干小型企業適用簡化框架（第16條）。
- ICT相關事故的處理及通報（第17至23條）——對事故進行分類，並在固定期限內向主管當局通報重大事故。
- 數字運營韌性的測試（第24至27條）——與企業相適應的測試計劃；威脅導向滲透測試僅適用於由當局指定的企業。
- ICT第三方風險（第28至30條）——策略、訂約前的盡職審查、強制性合約條款、退場計劃，以及就與ICT第三方服務提供商訂立的所有安排備存的資訊登記冊（第28條第3款），每年須提交當局。
- 資訊交換（第45條）——就網絡威脅情報所作的自願性安排。
誰須遵守DORA
DORA適用於其第2條所列的金融企業，包括支付機構及電子貨幣機構、根據MiCA獲授權的加密資產服務提供商、投資公司，以及另類投資基金管理人。若貴公司持有上述任何一項授權，或正在申請授權，DORA即自規例的適用開始日——2025年一月17日——或授權日（如較後者）起對貴公司適用。我方會在工作開始前，以書面確認貴公司的確切適用範圍。
比例原則
DORA適用於大型及小型公司，但框架的深度須按企業的規模、風險狀況及服務性質而定（第4條）。小型支付機構無須具備銀行級的工具——但仍須具備每項規定的文件、每個流程的負責人，以及證明該流程行之有效的證據。
資訊登記冊包含的內容
根據第28條第3款，每家金融企業須就第三方ICT服務的所有合約安排備存登記冊，應主管當局要求提供，並至少每年申報新訂立的安排。實務上，登記冊須就每個ICT第三方服務提供商列明：其提供的服務內容、公司哪項職能依賴於它，以及該職能是否屬關鍵或重要。登記冊須與實際生效的合約一致——而非與其首次製備時的狀況一致——因此須每年更新，而非一次性記錄。
我方如何逐步建立框架
- 差距分析。我方將公司目前的ICT治理、文件及第三方合約，與上述五大支柱作比較。
- 框架與政策。我方按比例原則，為公司度身設計ICT風險管理框架及配套政策。
- 事故分類及通報程序。我方訂明ICT事故如何分類、由誰向主管當局通報，以及須於何期限內通報。
- 測試計劃。我方為公司設計一套相適應的測試計劃。
- 第三方風險政策。我方為新的ICT供應商設計盡職審查流程及合約條款清單，並審查已生效的條款。
- 資訊登記冊。我方根據貴公司的合約，以指定範本製備首份登記冊。
常見錯誤
- 將比例原則理解為豁免。即使是小型公司，亦須具備每項規定的文件及每個流程的負責人——比例原則改變的是深度，而非清單本身。
- 讓登記冊過時。登記冊須在每次ICT合約有變時更新，而非僅於每年正式更新時更新一次。
- 沒有指定負責人。一套沒有為每個部分指定負責人的框架，只是一份文件，並非一套可行的框架。
- 將DORA視為一次性項目。事故通報及登記冊的年度更新屬經常性義務，並非單一成果。
包含及不包含的內容
我方的服務包括ICT風險管理框架、政策、事故分類及通報程序、測試計劃、第三方風險政策，以及資訊登記冊。不包括ICT系統本身及技術測試——這些由公司自身的IT部門或其技術供應商執行；我方的文件則就此作出描述、管控及記錄。
所需時間
首份DORA框架連同登記冊，通常需時8至12週；登記冊的年度更新則屬經常性且時間較短的項目。
我方的DORA服務
- DORA ICT風險管理框架及工具——起價 €39,500：差距分析、框架與政策、事故分類及通報程序、測試計劃、連同合約條款清單的第三方風險政策，以及首份資訊登記冊；
- DORA資訊登記冊——年度更新——起價 €2,400 / 年：按ITS範本更新登記冊，並協助年度提交。
符合DORA的ICT文件亦是MiCA申請，以及支付機構及電子貨幣機構申請的一部分；連同牌照一併訂購DORA服務者，無須將同一套文件撰寫兩次。
您將獲得什麼
- 一套與貴公司相適應、載有負責人及證據的DORA框架；
- 按指定格式製備的資訊登記冊；
- 若有訂購，則包括登記冊的年度更新。
上述金額為我方標準範圍的服務費，未含增值稅。所有溝通均透過電子郵件進行。
我們不向俄羅斯公民及俄羅斯公司提供服務。